Det irske datatilsyn har udstedt en administrativ bøde på 1,2 mia. euro til Meta Irland for ulovlige overførsler af personoplysninger om EU-borgere til USA baseret på standardkontraktbestemmelser. Myndigheden fandt, at virksomheden ikke kunne sikre og dokumentere et tilstrækkeligt beskyttelsesniveau ved overførslerne. Samtidig er der givet et påbud om at bringe behandlingsaktiviteterne i overensstemmelse med GDPR inden for seks måneder.
Retsligt grundlag og EDPB’s rolle
Efter GDPR må overførsler til tredjelande uden tilstrækkelighedskendelse kun ske, hvis der foreligger passende garantier, typisk efter artikel 46 via SCC. Den dataansvarlige skal påvise et reelt, ækvivalent beskyttelsesniveau, ofte gennem supplerende tekniske, organisatoriske og kontraktuelle foranstaltninger samt en dokumenteret overførselsvurdering (TIA). I den konkrete sag vurderede tilsynet, at disse krav ikke var opfyldt.
Den endelige afgørelse blev truffet på baggrund af en bindende beslutning fra Det Europæiske Databeskyttelsesråd. Rådet instruerede den irske myndighed i at udstede bøde og påbud, under henvisning til overtrædelsernes alvor og det meget store antal berørte registrerede.
Konsekvenser for praksis
Afgørelsen markerer et højt sanktionsniveau under GDPR og understreger, at bøder skal være effektive, proportionale og afskrækkende. Sagen kan blive indbragt for domstolene, men den skærper allerede nu kravene til styring af tredjelandsoverførsler, dokumentation og løbende kontrol.
Organisationer bør derfor forholde sig systematisk til risici ved overførsler til usikre tredjelande, herunder særligt amerikanske leverandører. Det gælder også for underdatabehandlere, hvor geografisk placering og koncernkontrol kan indebære overførsler, som skal være lovligt hjemlede og dokumenterede.
Følgende tiltag kan styrke efterlevelsen og reducere risici ved dataoverførsler:
- Kortlægning af alle dataflow til tredjelande og identifikation af dataimportører og underdatabehandlere.
- Gennemførelse og opdatering af TIAs med fokus på lokale myndighedsadgang og retsmidler.
- Implementering af supplerende foranstaltninger samt ajourførte SCC’er og klare kontraktvilkår.
- Etablering af løbende kontrol, hændelsesprocedure og evidens for dokumentationskrav.
- Forberedelse på tilsyn, påbud og potentielle afhjælpende tilpasninger inden for korte frister.
